1,000万ドルの盗難カード不正操作

土曜日に公表された調査によると、不正者らは2月に始まった盗難デビットカードを使った操作で、実世界の結果に連動する契約を取引する予測市場であるPolymarketの米国プラットフォームを通じて約1,000万ドルを動かそうとしました。この手法は、数千のアカウントに紐付けられた漏洩カードに依存しており、カードでベットに資金を投入した後、実行者らは自分が管理する口座への出金を試みました。攻撃者が悪用したのは標準的なカード決済基盤です。Polymarketの入金を処理するCheckout.comはこの操作を検知し、ピーク時には米国入金の80%超を不正として拒否しました。これは業界標準の約1%を大きく上回る水準です。

活動は極めて集中していました。約7人のユーザーが大部分を占め、1つのアカウントだけで約4,000件の入金が試みられました。調査では、1,000万ドルのうち実際にプラットフォーム外に出た金額は特定されておらず、報道で引用された関係者は、入金の大半が失敗したと述べています。

より重大な開示は、Polymarketの内部対応にあります。不正な入金が積み重なり、正当な出金が滞留する中、経営陣は「入金に使用されたものと同じ決済手段へ出金する」という要件を撤廃しました。これは盗難カードの資金がクリーンな口座に到達するのを防ぐ標準的なセーフガードです。従業員は変更がマネーロンダリングを招くと警告しましたが、幹部は既存の管理措置で十分だと主張しました。報道によれば、CEOのシェイン・コプラン氏は従業員に対し、成長を優先し規制上の罰金は後から対処するよう指示したといいます。

4月には、不正に関する詳細な報告書を提出した後、最高コンプライアンス責任者のアンドリュー・クリフォード氏が辞任しました。米国法人のCEOジャスティン・ハーツバーグ氏は解任され、米国規制およびマネーロンダリング防止の責任者も退任しました。法律事務所Sullivan & Cromwellによる内部調査は、プラットフォームが規制を遵守していたと結論付けました。

報道によれば、Polymarketがユーザーが紐付けできるデビットカードの枚数に上限を設け、審査ベンダーのRiskifiedを導入した後、不正率は5月までに業界水準に戻りました。しかし7月下旬には別の登録上の欠陥により、被害者の社会保障番号を入手した攻撃者が、パスワードを知らなくても、銀行口座やカードが紐付いた約500のアカウントを乗っ取ることが可能になりました。この失敗は暗号技術ではなく本人確認の問題であり、秘密鍵が脅かされることは一切ありませんでした。米国のデリバティブ市場を監督する連邦機関であるCFTC(商品先物取引委員会)は現在この不正を調査中であり、職員には記録の保存が指示されています。

監視下にあるCFTC指定市場

コンプライアンスの実績は、通常の暗号資産スタートアップの場合よりもここでは重要です。規制当局自身の登録記録によれば、Polymarket U.S.を運営する主体であるQCX LLCは2025年7月9日に指定契約市場(DCM)の地位を取得しており、現在も指定リストに掲載されています。これは同プラットフォームが米国の正規の連邦監督下にあるデリバティブ制度の内部に置かれていることを意味します。まさにこの地位ゆえに、登録済みの取引所でのカード不正、顧客識別の不備、緩和された出金管理は、分散型プロトコルへの侵入では決して持たない規制上の重みを持ちます。

決済サイドからの圧力もこの構図を強めています。報道によれば、Visaは不正活動の急増に懸念を示し、Checkout.comに対しPolymarket関連フローの管理強化を求め、処理業者もプラットフォームにより強力な対策を要求しました。

情報請求で入手された記録はまた、CFTCがPolymarketの複数の市場 — 米国の元大統領の恩赦、イラン関連のイベント、Googleの年間検索ランキングに連動する契約 — における疑わしいインサイダー取引を調査していたことを示しています。イラン市場の口座グループは約240万ドル、恩赦市場のトレーダー1人は約30万ドルを得ていました。

高まるリスクの中での急成長

それでも資本市場はこの成長ストーリーを好意的に受け止めています。Polymarketは約10億ドルを210億ドルの評価額で資金調達中であり、ドナルド・トランプ・ジュニア氏の1789 Capitalが既に投資済みの2億ドルに加え約3億ドルを追加しました。Amazon元CFOのウォーレン・ジェンソン氏が同社初のCFOに就任し、2027年のIPOが協議されていると報じられています。

しかし、規模の拡大はリスクを尖らせます。2026年シーズンの最初のNFL週末には、日曜日の予測市場取引高が約31.2億ドル、前日はカレッジフットボールで約31.7億ドルに達しました。Kalshiは週末全体で約48.9億ドルを回転させ、Polymarketの約4億400万ドルを大きく上回りました。今年の業界調査では、セクター全体の月間取引高は約210億ドルと推計されています。この規模の資金流入 — その多くはカードネットワークや、暗号資産取引所への送金に一般的に使われるドル連動トークンであるステーブルコイン残高を通じて調達されます — がスピード最優先の文化と出会うとき、コンプライアンス対応能力は製品の中核となります。そして各取引所のプラットフォームリスクを比較するユーザーは、今や手数料や流動性と並んでこれを評価に織り込む必要があります。

コンプライアンス対応能力が勝者を決める

両方の論点は一つの筋書きに収束します。予測市場は、ここまでの成長を支えてきた管理インフラの規模を超えてしまったのです。CFTC自身の登録簿 — QCX LLCのDCM指定 — は、2月の決定が明らかに果たさなかったレベルの監督義務を課しており、職員に記録保存が指示されている進行中の調査は、清算の時がまだ来る可能性を示唆しています。

発稿時点でBitcoin(BTC)が約,570ドル近辺で推移し、主流資本が予測プラットフォームへ回帰する中、例外的な事例はニッチなフォーラムではなく一面を飾るようになりました。この一連の流れは、プラットフォームリスクをめぐるBitcoinマキシマリズムの最も古い主張 — 管理者を介した保有は自己管理で回避できるリスクを伴うという長年の主張 — を蘇らせており、監視に耐えるよう構築された運営者や、プラットフォーム破綻に対するオンチェーン補償であるDeFi保険などの保護手段が有利になるでしょう。